2 listopada 2026 amerykański NIST (National Institute of Standards and Technology) opublikował bezpłatny poradnik cyberbezpieczeństwa dla firm, w których pracuje tylko właściciel. Czyli dla jednoosobowych działalności, freelancerów i niezależnych kontraktorów (NIST).
Dokument jest pisany dla USA, ale problemy są te same co w polskiej JDG: laptop, telefon, firmowe konto w banku, skrzynka mailowa, KSeF, strona albo sklep, coraz częściej ChatGPT, Claude, n8n i Make. Działu IT brak.
Przeczytaliśmy poradnik i ułożyliśmy z niego checklistę na jedno popołudnie, z polskimi adresami tam, gdzie dokument odsyła do amerykańskich instytucji. Jeśli cyberbezpieczeństwo w małej firmie to u Ciebie temat „na kiedyś”, a pytanie, jak zabezpieczyć firmę przed cyberatakami bez budżetu na specjalistów, wraca po każdym głośnym wycieku, to dobry punkt startu.
Co opublikował NIST i dlaczego to dotyczy też Twojej JDG
Pełna nazwa to NIST Cybersecurity White Paper (CSWP) 50, „Small Business Cybersecurity: Non-Employer Firms”. Autorzy: Daniel Eliot, Jeffrey A. Marron i Savann Thorn z NIST (CSRC).
To następca poradnika NIST dla małych firm, wydawanego od 2009 roku (ostatnia wersja z 2016). CSWP 50 formalnie zastępuje NIST IR 7621 Rev. 1 z listopada 2016 (CSRC, PDF, Appendix C).
Nad tekstem pracowano ponad dwa lata. Dwa szkice wyszły jeszcze pod starym numerem (18 marca 2024 i 1 maja 2025), a 14 kwietnia 2026 dokument dostał nowy numer i kolejny szkic, z terminem uwag do 14 maja 2026. Sam NIST pisze o trzech okresach konsultacji publicznych (CSRC, historia dokumentu).
Podstawą jest NIST Cybersecurity Framework 2.0 (NIST CSF 2.0) i jego skrócona wersja dla małych firm, CSF 2.0 Small Business Quick-Start Guide. Działania są pogrupowane w sześć funkcji CSF: Govern, Identify, Protect, Detect, Respond, Recover. Każde opisano w tabeli: co zrobić, dlaczego, jak zacząć i co dalej, gdy firma rośnie (PDF, s. ii i 9–20).
Skala w USA jest spora. Małych firm jest tam 34,8 mln (99% wszystkich), a 81,9% z nich nie zatrudnia nikogo poza właścicielem (PDF, s. 1). W komunikacie NIST to „ponad 28 mln” firm jednoosobowych (NIST). NIST zaznacza, że poradnik można dostosować także do firm działających międzynarodowo. Polskich statystyk w nim nie ma, ale lista działań pasuje do JDG jeden do jednego.
Co się zmieniło względem wersji z 2016: węższy temat (cyberbezpieczeństwo zamiast ogólnie bezpieczeństwa informacji), węższa grupa (firmy jednoosobowe z prostym IT), nowe fragmenty o ransomware, MFA i phishingu, treść w tabelach (PDF, Appendix C).
Dwie uczciwe uwagi od autorów. Po pierwsze, dokument nie jest checklistą ani listą wymogów do spełnienia (PDF, s. 10). Po drugie, Daniel Eliot nazywa go punktem startowym, który nie odpowie na wszystkie potrzeby. Dodaje, że wiele działań właściciel wdroży sam, z niewielką wiedzą techniczną albo minimalnym wydatkiem (NIST).
9 działań na start: nasza checklista
Na samym początku poradnika NIST wymienia działania, które według dokumentu znacząco zmniejszają ryzyko (PDF, s. 2). Kolejność poniżej jest nasza: od tego, co da najwięcej w pierwszą godzinę.
- Włącz uwierzytelnianie dwuskładnikowe (2FA), najlepiej odporne na phishing, na każdym koncie, które je oferuje. Najpierw poczta, bank, menedżer haseł, dysk z wrażliwymi plikami i kluczowe usługi w chmurze.
- Ustaw silne, unikalne hasła (frazy hasłowe, co najmniej 15 znaków), trzymaj je w menedżerze haseł, a tam gdzie się da, przejdź na klucze dostępu (passkey).
- Pracuj na koncie standardowym, nie administratora. Konto admina tylko do instalacji i zmian ustawień.
- Zaktualizuj oprogramowanie na wszystkich urządzeniach i w aplikacjach.
- Zaplanuj kopie zapasowe, chroń je i sprawdź, czy da się z nich odtworzyć dane.
- Naucz się rozpoznawać phishing i próby ransomware.
- Spisz najważniejsze zasoby i usługi, od których zależy firma.
- Przygotuj listę kontaktów na wypadek ataku, także na papierze.
- Spisz wymogi prawne, regulacyjne i umowne dotyczące bezpieczeństwa: co obiecałeś klientom w umowach, czego wymaga od Ciebie bank, ubezpieczyciel, księgowa.
Punkty 1–4 to klikanie w ustawieniach. Punkty 5–9 to reszta popołudnia z kawą i arkuszem.
Konta: 2FA, passkey, menedżer haseł i osobne konto do pracy
Same hasła nie wystarczają. NIST zaleca MFA (uwierzytelnianie wieloskładnikowe, w praktyce najczęściej 2FA) szczególnie na kontach wrażliwych i uprzywilejowanych, w tym na kontach z dostępem do kopii zapasowych. Jako popularną formę MFA odpornego na phishing podaje passkey, po polsku zwykle „klucz dostępu” (PDF, s. 15).
Jeśli używasz ChatGPT do pracy z klientami, to też jest konto do zabezpieczenia. Pisaliśmy o tym przy okazji przejmowania kont ChatGPT przez link do udostępnionej rozmowy.
Hasło: według NIST co najmniej 15 znaków (PDF, s. 2). Takich haseł, osobnych do każdej usługi, nikt nie pamięta, dlatego menedżer haseł. NIST nazywa go rozwiązaniem „powszechnym i stosunkowo tanim” (PDF, s. 15). Konkretnego produktu nie poleca, więc my też tu nie będziemy.
Dalej trzy rzeczy, które w JDG często leżą odłogiem:
- Prywatne osobno od firmowego. NIST radzi oddzielać urządzenia i zasoby prywatne od firmowych (PDF, s. 3). Jeśli laptop dzielisz z rodziną, każdy ma własne konto bez dostępu do danych firmy (PDF, s. 14).
- Domyślne hasła producenta. Router, drukarka, kamera, inne urządzenia w sieci: hasło z naklejki zmień. To przykład, który NIST wybrał nawet do komunikatu prasowego (NIST). Co się dzieje, gdy nikt tego nie robi, opisaliśmy przy cyberataku na lodówki Danfoss.
- Najmniejsze uprawnienia. Dostęp do usług chmurowych tylko dla tych, którzy go potrzebują, i tylko na czas zadania. Uprawnienia przeglądaj okresowo (PDF, s. 14).
Polski przykład najmniejszych uprawnień to KSeF. Aplikacja Podatnika KSeF służy m.in. do zarządzania uprawnieniami i tokenami, a programy księgowe łączą się z KSeF przez API (KSeF). Sprawdź, kto ma u Ciebie uprawnienia i tokeny (księgowa, program do faktur, stary program, z którego już nie korzystasz) i czy wszystkie są nadal potrzebne. KSeF jest obowiązkowy od 1 lutego 2026 dla firm ze sprzedażą powyżej 200 mln zł w 2024 roku i od 1 kwietnia 2026 dla pozostałych. Do 31 grudnia 2026 można jeszcze wystawiać faktury poza KSeF, jeśli ich suma z VAT w miesiącu nie przekracza 10 000 zł (KSeF). Tak czy inaczej, dostęp do KSeF to dziś jedno z najważniejszych kont w JDG. Polski incydent wokół faktur opisaliśmy w tekście o wycieku danych z Fakturowni.
Kopie zapasowe i aktualizacje
NIST nie każe kupować drogiego systemu. Pisze: kilka kopii, co najmniej jedna na nośniku niepodłączonym do urządzenia (dysk zewnętrzny albo chmura). Kopie trzeba chronić i co jakiś czas sprawdzić, czy da się z nich odtworzyć dane. Warto też przeczytać, jak kopie robi Twój dostawca chmury, zamiast zakładać, że robi je za Ciebie (PDF, s. 15).
Nasze rozwinięcie, nie zalecenie NIST: zasada 3-2-1. Trzy kopie danych, na dwóch różnych nośnikach, z czego jedna poza domem lub biurem. W JDG może to być na przykład komputer, dysk zewnętrzny odłączany po zrobieniu kopii i chmura. Łatwo zapamiętać i spełnia to, co pisze NIST.
Najważniejsze słowo w tej sekcji to „testować”. Kopia, z której nigdy nie odtworzyłeś pliku, jest hipotezą. Nasza propozycja: raz na kwartał przywróć jeden losowy folder i sprawdź, czy się otwiera.
Aktualizacje: włącz automatyczne i co najmniej raz w miesiącu sprawdź ręcznie, czy wszystko się zainstalowało. Sprzęt i programy bez wsparcia producenta wycofaj (PDF, s. 14). To samo dotyczy strony i sklepu: krytyczne luki w PHP i WordPressie to dokładnie ten scenariusz. Masz własny serwer VPS? Zobacz też lukę w jądrze Linuksa CVE-2026-98432.
Przy okazji porządków sprzętowych NIST przypomina jeszcze o trzech rzeczach: wyczyść dyski przed sprzedażą lub oddaniem sprzętu, włącz zdalne kasowanie na laptopie i telefonie, zamknij nieużywane konta online (PDF, s. 12).
Phishing w firmie: faktura z nowym numerem konta
NIST pisze wprost, że AI pozwala tworzyć coraz bardziej przekonujące wiadomości. Każdą prośbę o kliknięcie, otwarcie pliku, przelew, zalogowanie się albo podanie danych sprawdź drugi i trzeci raz (PDF, s. 16).
Szczególnie cztery sytuacje: zmiana numeru konta, faktura „po zmianie danych”, pilna płatność i prośba o karty podarunkowe. Takie prośby weryfikuj innym, znanym kanałem, nie odpowiadając na tę wiadomość (PDF, s. 16).
Po polsku wygląda to tak. Stały dostawca przysyła mail: „zmieniliśmy bank, proszę o przelew na nowy rachunek”, w załączniku faktura. Nie odpisujesz na tego maila i nie dzwonisz pod numer ze stopki. Dzwonisz pod numer, który masz z umowy albo wcześniejszej korespondencji, i pytasz. Trzy minuty rozmowy kontra przelew na cudze konto.
Drugą linią obrony są powiadomienia. NIST wymienia: alerty o nowych logowaniach, alerty transakcji bankowych i płatności, powiadomienia o resecie hasła, śledzenie zmian rekordów domeny, a do tego blokadę ekranu i możliwość zlokalizowania oraz zdalnego wyczyszczenia urządzenia (PDF, s. 18). Sprawdź dziś w aplikacji banku, czy masz włączone alerty transakcji.
Ransomware według NIST dotyczy nie tylko komputera, ale też kont w chmurze i usług SaaS. Antywirus zawsze włączony, blokada konta po kilku nieudanych próbach logowania, kopie odizolowane od codziennej pracy (PDF, s. 17). Raz w roku zrób krótkie szkolenie z bezpieczeństwa; NIST zauważa, że wiele organizacji daje je za darmo lub tanio (PDF, s. 14).
Co zrobić z podejrzaną wiadomością w Polsce:
- SMS z podejrzanym linkiem prześlij na numer 8080. Numer służy tylko do zgłaszania wyłudzeń i tylko przyjmuje SMS-y (CERT Polska).
- Fałszywą stronę lub mail zgłoś przez incydent.cert.pl, jest tam osobna ścieżka dla phishingu (CERT Polska).
- Zgłoszone domeny trafiają na Listę Ostrzeżeń CERT Polska, prowadzoną od marca 2020, a operatorzy telekomunikacyjni automatycznie blokują do nich dostęp. Twoje zgłoszenie chroni też innych.
Narzędzia AI i automatyzacje w spisie zasobów
Ciekawostka na marginesie: w dokumencie sztuczna inteligencja nazywa się „Super Intelligence (SI)”. To nie literówka. Rozporządzenie prezydenta USA z 29 września 2026 kazało agencjom federalnym zmienić nazewnictwo (PDF, przypis 6, Federal Register, EO 14434). Treść jest ta sama: chodzi o narzędzia AI.
Rozdział 1.9 poradnika mówi, że małe firmy używają AI do pisania kodu, automatyzacji, treści i obsługi klienta. Podstawowe środki ostrożności według NIST (PDF, s. 7):
- spisz wszystkie narzędzia AI w firmie, także funkcje AI wbudowane w inne programy, i zdecyduj, które skonfigurować, a które wyłączyć,
- zanim wkleisz dane wrażliwe (tajemnice firmy, dane o zdrowiu, kod źródłowy, dokumenty prawne), sprawdź ustawienia prywatności: jak długo narzędzie trzyma dane, czy na nich trenuje, jakie ma uprawnienia,
- przejrzyj każdą treść z AI, zanim wyślesz ją klientowi albo podejmiesz na jej podstawie ważną decyzję,
- dowiedz się, jak AI używają Twoi dostawcy i do jakich Twoich systemów i danych mają dostęp.
Tu dokładamy nasze rozwinięcie, bo w CSWP 50 słowo „klucz API” nie pada. Jeśli masz automatyzacje w n8n albo Make, które łączą się z OpenAI, Anthropic, bankiem, sklepem czy KSeF, to każdy klucz API i token jest zasobem firmy. Powinien być w spisie: do czego służy, gdzie leży, kto ma do niego dostęp, jakie ma uprawnienia i kiedy ostatnio był zmieniany. To zwykła zasada inwentaryzacji i najmniejszych uprawnień z poradnika, przełożona na świat automatyzacji. Jak to zrobić krok po kroku, opisaliśmy w checkliście po wycieku kluczy API.
Sam spis zasobów NIST proponuje zrobić w prostym arkuszu: nazwa, właściciel, wrażliwość danych, lokalizacja, skutek przejęcia, czy hasło jest unikalne, czy jest MFA, jaki adres lub telefon służy do odzyskania konta (PDF, s. 3 i 12). Nie pomijaj sprzętu, który nie wygląda na „IT”: kamer, sprzętu audio-wideo, wszystkiego, co siedzi w Twojej sieci.
Gdy coś się stanie: lista kontaktów na papierze
NIST radzi mieć listę kontaktów na wypadek ataku, także w wersji papierowej (PDF, s. 2). Logiczne: jeśli ktoś przejmie Ci pocztę albo zaszyfruje laptopa, kontakty w telefonie i w mailu mogą być ostatnią rzeczą, do której się dostaniesz.
Polska wersja takiej kartki:
- bank: numer infolinii przepisz z karty albo z aplikacji banku (nie z maila ani z wyszukiwarki),
- CERT Polska: incydent.cert.pl, SMS 8080,
- policja: 112,
- księgowa,
- osoba od strony, sklepu i automatyzacji,
- prawnik, jeśli masz z kim współpracować.
Kartkę włóż do szuflady, nie do folderu na dysku.
Pierwsze ruchy po incydencie według NIST: zapisz, co się stało (kiedy wykryłeś, logi, zrzuty ekranu, co już zrobiłeś), odłącz urządzenie od sieci, nie używaj przejętego konta do naprawy, unieważnij aktywne sesje (PDF, s. 19).
Przy powrocie do pracy: sprawdź, czy kopia jest nienaruszona, zanim z niej odtworzysz dane. Potem przejrzyj ustawienia kont: MFA, aktywne sesje, udostępnione pliki i reguły przekazywania poczty. Taka reguła może po cichu wysyłać kopię Twoich maili na obcy adres, więc sprawdź ją nawet wtedy, gdy wszystko inne wygląda normalnie. Na koniec napisz sobie krótko, co się stało i czego się nauczyłeś (PDF, s. 20).
Co dalej, gdy firma rośnie
Każda tabela w poradniku ma kolumnę o tym, co zrobić, gdy firma się rozwija: tam pojawiają się m.in. jedno logowanie do wielu usług (SSO), automatyczne łatki i ćwiczenia reagowania na incydent (PDF). Na start możesz ją pominąć, ale wróć do niej, gdy zatrudnisz pierwszą osobę.
Dwie rzeczy z części „Govern” warto mieć z tyłu głowy od razu:
- Dostawcy i umowy. Oceń ryzyko dostawców (chmura, firma od IT, osoba od automatyzacji) i zapisuj w umowach, czego oczekujesz w sprawie bezpieczeństwa. Outsourcing nie przenosi na nich odpowiedzialności za ochronę danych (PDF, s. 6 i 11).
- Ubezpieczenie cyber. NIST radzi je rozważyć, ale zaznacza, że nie zastępuje strategii. Jeśli kupujesz polisę, zapisz jej wymogi i wyłączenia (PDF, s. 11).
Gdzie pobrać poradnik i arkusze
- PDF (29 stron, po angielsku, bezpłatny): NIST CSWP 50
- Arkusz .xlsx z załącznikami D–J (49 KB): cswp50-appendices-d-j.xlsx. W środku trzy przykładowe scenariusze (prawnik od własności intelektualnej, sprzedawca e-commerce z domowym warsztatem, konsultant marketingu i sprzedaży) oraz arkusze: wymogi prawne i umowne, spis zasobów i ryzyk, reagowanie i odtwarzanie, uwierzytelnianie (PDF, s. 28).
- Strona publikacji: CSRC NIST
Sprzedajesz online albo doradzasz klientom? Zacznij od scenariusza, który jest najbliżej Twojej firmy.
Pobierz arkusz z NIST i zrób dziś spis zasobów. Jeśli w Twojej firmie działają automatyzacje i narzędzia AI, a nie wiesz, gdzie leżą klucze i kto ma do nich dostęp, umów bezpłatną konsultację z B2B Solution. Przejrzymy to razem.
